Microsoft RAMP 停止于您的证书颁发机构边缘

微软于7月14日修补了CVE-2026-54121。研究人员H0j3n和Aniq Fakhrul在10天后发布了一个可运行的概念验证，命名为Certighost。如果您的AD CS服务器已安装7月的累积更新，您已受到保护。如果仍在使用6月版本，则暴露于公开的漏洞利用代码中。

攻击本身很短。一个没有管理员权限的标准域用户操纵他们控制的计算机账户上的属性，触发证书颁发机构内部的错误回退逻辑，并获得一个通过PKINIT认证为域控制器的签名证书。从那里开始，DCSync 获取krbtgt哈希和伪造Golden Tickets的能力，遍及整个林。它需要一个与Active Directory集成的Enterprise CA以及创建或控制计算机账户的能力，默认的10个机器账户配额授予每个域用户此权限。

启动该链的账户在任何时候都未拥有提升的权限。这是关键细节，因为Microsoft针对privileged access的路线图是基于该攻击绕过的威胁模型构建的。

RAMP的三个倡议小组

快速现代化计划要求您分离和管理特权账户，改善持有者的凭证体验，并部署管理员工作站。在这些之下，是大多数安全团队当前正在处理的具体内容：Privileged Identity Management (PIM)、紧急访问账户、按影响分类Microsoft Entra角色、管理员的多因素认证和无密码访问、阻止传统身份验证，以及Privileged Access Workstations。

大部分是Microsoft Entra ID的工作。RAMP在本地要求的是独立的管理员账户、为使用者专用的工作站以及唯一的本地管理员密码。Certighost是AD CS中的一个缺陷。这三者都不涉及它。

RAMP不包含任何证书颁发机构的计划。微软故意这样设定，指导文件中也有说明，基于一份单独的Privileged Access Management部署文档。RAMP回答的是谁在您的环境中拥有提升的访问权限。您的CA如何决定将哪个身份绑定到证书是另一个问题。

Certighost不会是最后一个

证书颁发完整性是一个类别，并且持续出现。大多数已知路径是自“Certified Pre-Owned”以来记录的ESC攻击技术，其中模板或CA标志允许无权限用户请求其不拥有身份的证书。Certighost则是另一种形式。模板配置无关紧要。缺陷在于证书颁发机构自身的请求处理逻辑，即它如何解析请求实际针对哪个目录对象。

这种区别对你的应对措施很重要。标准建议的证书模板审计无法发现这个问题。

客户对此的误解

大多数客户认为AD CS已被覆盖，因为有人负责。证书颁发机构归属于PKI或基础设施团队，Identity团队认为这意味着已处理，而不同的汇报线被视为一种控制。当我询问他们是否根据任何ESC路径审核过配置时，答案通常是他们并不知情。

负责它的团队以可用性为衡量标准。签发成功，续期不失效，认证不中断，CA在他们负责的所有指标上都保持健康。当普通用户为他们无权使用的账户注册证书时，CA依然保持健康，这正是没人发现的原因。

治理没有可依附的对象

RAMP的控制围绕特权账户激活。Certighost在CA本身颁发创建该账户的证书之前，绝不会接触它。

没有供 PIM 控制的中间账户，也没有供 MFA 验证的管理员身份验证。权限提升和支付在证书颁发机构的请求处理内作为单一事务发生，攻击者的起始账户保持原位，与其他标准域用户处于同一层级。使得准备步骤成为可能的机器账户配额也不是 RAMP 计划。

RAMP 指向 Microsoft Defender for Identity (MDI)，MDI 提供真实的证书覆盖。态势评估会评估已知升级路径的模板和 CA 设置，检查 CA 本身需要在 AD CS 服务器上安装 MDI 传感器。此技术还有一个基于请求模式触发的命名检测。

这两者都值得拥有。两者都不会拒绝注册请求。姿态评估是您定期阅读的配置报告，检测是在交易完成时到达的警报。

因此，安全团队可以从头到尾完成RAMP，做好它，同时运行MDI，但仍然没有任何控制来评估并拒绝证书请求。Privileged Access Management治理和证书颁发机构的完整性是两个独立的问题。RAMP解决了其中一个，我认为将已完成的部署视为两者的覆盖范围，是对该路线图目的的最常见误读。

如果有人告诉我他们已经完成了RAMP的工作，我的第一个问题是证书颁发机构是谁。如果他们需要去查明，那就是答案。RAMP是正确的路线图，完成它意味着他们的特权账户得到了管理，这是真正的进步，而不是无意义的。它只是没有说明能够从标准用户的证书请求中铸造这些账户的系统。监控该系统是基础。接下来我想要的是能够拒绝请求的东西。

阻止注册请求

Netwrix Threat Prevention（NTP）和Netwrix Threat Manager（NTM）在这两方面发挥作用。在监控方面，NTM覆盖了RAMP通过Defender for Identity指出的相同领域，实时发现AD CS滥用和证书滥用模式。

预防方面是它们的区别。NTP根据已知的AD CS滥用模式（包括ESC1至ESC7技术）评估注册请求，并在证书存在之前阻止它们，而不是生成已颁发证书的记录。姿态评估告诉您模板有误，检测告诉您请求看起来异常，但执行是三者中唯一终止交易的。

先执行RAMP，然后查看您的证书颁发机构

遵循RAMP。它要求的工作是值得做的工作。在修补您的AD CS服务器时，将机器账户配额设置为零。

然后查看您的证书颁发机构，因为RAMP不会把您送到那里。 审核模板，然后提出更难的问题：当一个标准账户提交一个声称其无权拥有的身份的注册请求时，您的环境中什么会评估该请求，有什么会阻止它还是仅仅记录下来？